Sociální inženýrství
Sociální inženýrství je způsob útoku, při kterém pachatel manipuluje člověka tak, aby dobrovolně provedl činnost, kterou by za běžných okolností neudělal, například sdělil heslo, potvrdil platbu, nainstaloval aplikaci, otevřel škodlivý odkaz, předal ověřovací kód nebo umožnil vzdálený přístup do zařízení.
Podstatou útoku není pouze technika, ale psychologický nátlak, vyvolání důvěry, strachu, časové tísně, zvědavosti nebo pocitu autority.
Časté podoby a formy
Sociální inženýrství se často objevuje ve formě phishingu, kdy útočník rozesílá podvodné e-maily nebo zprávy napodobující banku, úřad, doručovací službu, zaměstnavatele nebo známou společnost.
Pokud je útok veden prostřednictvím SMS, označuje se jako smishing, a pokud pachatel telefonuje a vydává se například za bankéře, policistu nebo technickou podporu, jde o vishing.
Časté jsou také podvody na sociálních sítích, falešné investiční nabídky, romantické podvody, podvodné soutěže nebo zprávy od údajného příbuzného žádajícího rychlou finanční pomoc.
Příkladem může být telefonát, při kterém se pachatel představí jako pracovník banky a tvrdí, že účet oběti je právě napaden. Pod tlakem naléhavosti oběť přesvědčí, aby převedla peníze na „bezpečný účet“, nainstalovala aplikaci pro vzdálený přístup nebo sdělila autorizační kód. Ve skutečnosti tím oběť umožní pachateli převzít kontrolu nad účtem nebo provést neoprávněné transakce.
Prevence
Prevencí je především nedůvěřovat nevyžádaným zprávám a telefonátům, nejednat pod tlakem, ověřovat si totožnost volajícího jiným nezávislým kanálem, nikdy nesdělovat hesla, PINy ani jednorázové ověřovací kódy, neinstalovat aplikace podle pokynů neznámé osoby a nepřevádět peníze na údajně bezpečné účty.
Banka, policie ani úřad nikdy nepotřebují znát celé heslo ani autorizační kód klienta.
Obecná doporučení pro veřejnost
Každý uživatel by měl přistupovat k digitálnímu prostředí s vědomím, že opatrnost je stejně důležitá jako technické zabezpečení. Je vhodné pravidelně aktualizovat zařízení, používat silná a jedinečná hesla, zapnout vícefaktorové ověřování, neklikat na podezřelé odkazy, neotevírat nevyžádané přílohy, zálohovat důležitá data a ověřovat si podezřelé požadavky jinou cestou.
Při podezření na kybernetický útok je důležité nepanikařit, neplatit bez rozmyslu požadované částky, nekomunikovat zbytečně s pachatelem, uchovat důkazy, například e-maily, SMS, čísla účtů, telefonní čísla, adresy webových stránek nebo snímky obrazovky, a obrátit se na Policii České republiky nebo příslušné odborné pracoviště.